Se ha revelado una vulnerabilidad crítica de desbordamiento de búfer en heap en la versión 26.00 de 7-Zip. Este fallo, identificado como CVE-2026-48095 (GHSL-2026-140), se encuentra en la función CInStream::GetCuSize() del manejador de archivos NTFS, lo que permitiría a los atacantes lograr la ejecución arbitraria de código mediante el secuestro de una vtable.

Se ha revelado una vulnerabilidad crítica de desbordamiento de búfer de montón (heap buffer overflow) en la versión 26.00 de 7-Zip, que permite a los atacantes lograr la ejecución de código arbitrario mediante el secuestro de una vtable, explotando un defecto en el gestor de archivos NTFS de la herramienta.

Rastreada como CVE-2026-48095 y asignada al aviso GHSL-2026-140, la falla reside en la función CInStream::GetCuSize() dentro de NtfsHandler.cpp. La función calcula el tamaño del búfer de la unidad de compresión NTFS utilizando una operación de desplazamiento de 32 bits: (UInt32)1 << (BlockSizeLog + CompressionUnit).

Cuando una imagen NTFS manipulada establece ClusterSizeLog >= 28 —un valor aceptado explícitamente por el analizador— y un atributo de datos comprimidos lleva CompressionUnit == 4, el exponente del desplazamiento alcanza los 32, provocando un comportamiento indefinido (UB) en C++. En hardware x86, este UB hace que _inBuf se asigne con solo 1 byte debido al enmascaramiento de hardware de los recuentos de desplazamiento.

El búfer insuficiente de 1 byte se utiliza inmediatamente en una llamada a ReadStream_FALSE que escribe hasta 256 MB de datos controlados por el atacante en esa asignación de un solo byte.

Dado que el objeto de flujo CInStream se asigna solo 304 bytes después de _inBuf en el montón, la primera iteración de lectura de 64 KB sobrescribe el puntero de la vtable del objeto.

La segunda iteración despacha, a través de la vtable corrupta, un clásico secuestro de vtable, dejando al atacante con el control total del puntero sobrescrito mediante el contenido manipulado del clúster NTFS.

Tanto las compilaciones de 32 como las de 64 bits se ven afectadas. En sistemas de 64 bits con 16 GB o más de RAM, la llamada _outBuf.Alloc(8 GB) tiene éxito y la ejecución procede directamente al desbordamiento. En sistemas con poca memoria, el fallo de asignación limita el impacto a una denegación de servicio (DoS).

Un aspecto particularmente peligroso de esta vulnerabilidad es que su superficie de ataque es independiente de la extensión. El gestor de NTFS utiliza una detección de respaldo basada en firmas, coincidiendo con la firma "NTFS " en el desplazamiento de byte 3.

Esto significa que una imagen NTFS manipulada disfrazada con cualquier extensión de archivo —.7z, .zip, .rar, o incluso sin extensión— puede activar el gestor vulnerable después de que el gestor coincidente con la extensión la rechace. No se requiere ninguna interacción más allá de abrir el archivo manipulado.

La vulnerabilidad tiene una puntuación CVSS 3.1 de 8.8 (Alta) con un vector AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H. Está clasificada bajo CWE-787 (Escritura fuera de límites) y CWE-190 (Desbordamiento o ajuste de entero). Todas las versiones de 7-Zip hasta la 26.00 están afectadas, ya que el cálculo defectuoso de GetCuSize() ha existido desde que se introdujo por primera vez el soporte para flujos comprimidos NTFS.

La vulnerabilidad fue descubierta y reportada responsablemente por Jaroslav Lobačevski (@JarLob) del GitHub Security Lab. La confirmación se logró utilizando UBSan (UndefinedBehaviorSanitizer) bajo Clang en Linux x64, que señaló el UB de desplazamiento de la causa raíz en NtfsHandler.cpp:687, seguido de una desreferencia de vtable inválida en cascada que llevó a un SIGSEGV.

Se te recomienda encarecidamente que actualices 7-Zip a una versión parcheada inmediatamente y que evites abrir archivos de archivo o imágenes de disco no confiables de cualquier extensión hasta que se aplique la corrección.